ept技术_EPT和VPID简介 - osc_3xz91vxi的个人空间 - OSCHINA - 中文开源技术交流社区

EPT(Extended Page Tables，扩展页表)，属于Intel的第二代硬件虚拟化技术，它是针对内存管理单元(MMU)的虚拟化扩展。EPT降低了内存虚拟化的难度(与影子页表相比)，也提升了内存虚拟化的性能。

从基于Intel的Nehalem架构的平台开始，EPT就作为CPU的一个特性加入到CPU硬件中去了。

和运行在真实物理硬件上的操作系统一样，在客户机操作系统看来，客户机可用的内存空间也是一个从零地址开始的连续的物理内存空间。为了达到这个目的，Hypervisor(即KVM)引入了一层新的地址空间，即客户机物理地址空间，这个地址空间不是真正的硬件上的地址空间，它们之间还有一层映射。所以，在虚拟化环境下，内存使用就需要两层的地址转换：

即客户机应用程序可见的客户机虚拟地址(Guest Virtual Address, GVA)到客户机物理地址(Guest Physical Address, GPA)的转换(第一次转换，由客户机系统完成)

再从客户机物理地址(GPA)到宿主机物理地址(Host Physical Address, HPA)的转换(第二次转换，由Hypervisor来负责)。

GVA——GPA——HPA

客户机虚拟地址——客户机物理地址——宿主机物理地址

在硬件EPT特性加入之前，影子页表(Shadow Page Tables)是从软件上维护了从客户机虚拟地址(GVA)到宿主机物理地址(HPA)之间的映射(没有中间的GPA)，每一份客户机操作系统的页表也对应一份影子页表。有了影子页表，在普通的内存访问时都可实现从GVA到HPA的直接转换，从而避免了上面前面提到的两次地址转换。Hypervisor将影子页表载入到物理上的内存管理单元(Memory Management Unit, MMU)中进行地址翻译。图4-3展示了，GVA、GPA、HPA之间的转换，以及影子页表的作用。

尽管影子页表提供了在物理MMU硬件中能使用的页表，但是其缺点也是比较明显的：

首先影子页表实现非常复杂，导致其开发、调试和维护都比较闲难。

其次，影子页表的内存开销也比较大，因为需要为每个客户机的进程对应的页表的都维护一个影子页表。

为了解决影子页表存在的问题，Intel的CPU提供了EPT技术(AMD提供的类似技术叫做NPT,即Nested Page Tables),直接在硬件上支持GVA-->GPA-->HPA的两次地址转换，从而降低内存虚拟化实现的复杂度，也进一步提升了内存虚拟化的性能

CR3(控制寄存器3)将客户机程序所见的客户机虚拟地址(GVA)转化为客户机物理地址(GPA)，然后在通过EPT将客户机物理地址(GPA)转化为宿主机物理地址(HPA)。这两次转换地址转换都是由CPU硬件来自动完成的，其转换效率非常高。

在使用EPT的情况下，客户机内部的Page Fault、INVLPG(使TLB项目失效)指令、CR3寄存器的访问等都不会引起VM-Exit，因此大大减少了VM-Exit的数量，从而提高了性能。另外，EPT只需要维护一张EPT页表，而不需要像“影子页表“那样为每个客户机进程的页表维护一张影子页表，从而也减少了内存的开销。

TLB(Translation Lookaside Buffer)转换检测缓冲区是一个内存管理单元，用于改进虚拟地址到物理地址转换速度的缓存。

TLB是一个小的，虚拟寻址的缓存，其中每一行都保存着一个由单个PTE(Page Table Entry,页表项)组成的块。如果没有TLB，则每次取数据都需要两次访问内存，即查页表获得物理地址和取数据。

VPID(Virtual Processor Identifiers,虚拟处理器标识)，是在硬件上对TLB资源管理的优化，通过在硬件上为每个TLB项增加一个标识，用于不同的虚拟处理器的地址空间，从而能够区分开Hypervisor和不同处理器的TLB。

硬件区分了不同的TLB项分别属于不同虚拟处理器，因此可以避免每次进行VM-Entry和VM-Exit时都让TLB全部失效，提高了VM切换的效率。由于有了这些在VM切换后仍然继续存在的TLB项，硬件减少了一些不必要的页表访问，减少了内存访问次数，从而提高了Hypervisor 和客户机的运行速度。

VPID也会对客户机的实时迁移(Live Migration)有很好的效率提升，会节省实时迁移的开销，会提升实时迁移的速度，降低迁移的延迟(Latency)。VPID与EPT是一起加入到CPU中的特性，也是Intel公司在2009年推出Nehalem系列处理器上新增的与虚拟化相关的重要功能。

在Linux操作系统中，可以通过如下命令查看/proc/cpuinfo中的CPU标志来确定当前系统是否支持EPT 和VPID 功能。

grep  -E  "ept|vpid" /proc/cpuinfo                          #intel的cpu

grep  npt   /proc/cpuinfo                                       #amd

在宿主机中，可以根据sysfs文件系统中kvm_intel模块的当前参数值来确定KVM是否打开EPT和VPID特性。

在默认情况下，如果硬件支持了EPT、VPID，则kvm_intel模块加载时默认开启EPT和VPlD特性，这样KVM会默认使用它们。

cat   /sys/module/kvm_intel/parameters/ept

cat   /sys/module/kvm_intel/parameters/vpid

如果结果是Y表示开启

在加载kvm_intel模块时，可以通过设置上述的ept和vpid参数的值来打开或关闭EPT和VPID。

如果kvm_intel模块已经处于加载状态，则需要先卸载这个模块，在重新加载之时加入所需的参数设置。

当然，一般不要手动关闭EPT和VPID功能，否则会导致客户机中内存访问的性能下降。